DORA LEI for IKT-leverandører i Danmark

En anmodning om DORA LEI fra en bank eller pensionskasse betyder ikke, at DORA direkte pålægger din IKT-virksomhed at få en LEI-kode. Det er den finansielle enhed, der skal føre et register og identificere leverandører, som er juridiske personer, med en gyldig og aktiv LEI-kode eller en europæisk entydig identifikator (EUID); en leverandør, der ikke er etableret i EU, skal identificeres med LEI.

Hvad betyder det i Danmark?

Finanstilsynet – Indsendelse af register over IKT-tredjepartsudbydere oplyste, at indberetningen forventedes at åbne 10. marts 2026. De omfattede finansielle virksomheder skulle indsende registeret til Finanstilsynet senest 31. marts 2026. Finanstilsynets side indeholder også vejledning om LEI-koder.

En IT-leverandør fra Aarhus, der drifter et system for en dansk pensionskasse, kan derfor blive bedt om identifikationsoplysninger til pensionskassens register. Anmodningen skal ses i lyset af pensionskassens pligt til at indberette – ikke som en selvstændig DORA-pligt for leverandøren til at anskaffe en LEI-kode. For en amerikansk cloududbyder til en københavnsk bank er forskellen mellem LEI og EUID særlig relevant: Eksemplet vedrører en leverandør uden for EU, som kun kan identificeres med LEI.

Datoerne på Finanstilsynets side vedrører indberetningen i 2026. En dansk leverandør bør derfor spørge sin finansielle kunde, hvornår kunden skal bruge oplysningerne til næste register, i stedet for at anvende den afsluttede indberetningsfrist som sin egen leveringsfrist.

DORA LEI: Hovedpunkter

• DORA har fundet anvendelse siden 17. januar 2025. Finansielle enheder fører et register over deres aftaler om IKT-tjenester.
• En IKT-leverandør, der er en juridisk person, identificeres med en gyldig og aktiv LEI-kode eller en EUID, og med begge, hvis de findes. For en leverandør, der ikke er etableret i EU, bruges kun LEI.
• Reglen omfatter også registrerede underleverandører, der reelt understøtter en IKT-tjeneste, som støtter en kritisk eller vigtig funktion.
• Den finansielle kundes frist for at indsamle oplysninger kan ligge før myndighedens indberetningsfrist.

Hvad indeholder DORA-registeret?

Forordning (EU) 2022/2554 (DORA), artikel 28, stk. 3, pålægger finansielle enheder at føre og opdatere et register over alle kontraktlige ordninger om brug af IKT-tjenester fra IKT-tredjepartsudbydere. Registeret indgår i deres ramme for styring af IKT-risici og føres på enhedsniveau samt på delkonsolideret og konsolideret niveau.

Den finansielle enhed skal på anmodning stille hele registeret eller de ønskede dele til rådighed for sin kompetente myndighed og mindst én gang årligt indberette nye ordninger. De europæiske tilsynsmyndigheder bruger også registrene til at udpege kritiske IKT-tredjepartsudbydere. Ifølge AFM DORA update 7 fra august 2026 var nitten udbydere blevet udpeget på grundlag af registrene.

For leverandøren viser registerkravet sig typisk som en anmodning om korrekte oplysninger fra den finansielle kunde. Den kan vedrøre både en direkte leverandør og underleverandører i en relevant leverandørkæde.

Hvornår bruges LEI, og hvornår bruges EUID?

Kommissionens gennemførelsesforordning (EU) 2024/2956 af 29. november 2024, offentliggjort i EU-Tidende 2. december 2024, fastlægger registerets standardskabeloner. Efter artikel 3, stk. 5, skal finansielle enheder identificere IKT-tredjepartsudbydere, der er juridiske personer, med en gyldig og aktiv LEI-kode eller den EUID, der er nævnt i artikel 16 i direktiv (EU) 2017/1132 – og med begge, hvis de findes. Undtagelsen gælder fysiske personer, der handler som erhvervsdrivende.

Bilaget til gennemførelsesforordningen tillader kun LEI eller EUID for leverandører, der er juridiske personer. Alternative koder er forbeholdt fysiske personer, der handler som erhvervsdrivende. Er den juridiske person ikke etableret i EU, kan kun LEI bruges; EUID er altså ikke et alternativ for denne leverandør.

Artikel 3, stk. 6, omhandler underleverandører. Hvis den direkte leverandørs IKT-tjeneste støtter en kritisk eller vigtig funktion, skal den finansielle enhed gennem den direkte leverandør sikre, at underleverandører i registeret, som reelt understøtter tjenesten, bruger en gyldig og aktiv LEI-kode eller oplyser deres EUID – og begge, hvis de findes. Undtagelsen for fysiske personer, der handler som erhvervsdrivende, gælder også her. Den direkte leverandør kan derfor få brug for at indhente oplysninger fra underleverandører.

Den finansielle enhed selv identificeres anderledes i skabelonerne. De europæiske tilsynsmyndigheders FAQ om registerindberetning, opdateret 28. marts 2025, bekræfter, at kun LEI kan bruges for finansielle enheder i skabelonerne B_01.01 og B_01.02. En LEI er en alfanumerisk kode på 20 tegn baseret på ISO 17442. Leverandørens mulighed for at bruge EUID gælder ikke den finansielle enheds egen identifikation.

Hvorfor skal LEI-koden være aktiv?

Artikel 3, stk. 5, kræver udtrykkeligt en gyldig og aktiv LEI-kode. Har leverandøren allerede en kode, bør dens status derfor kontrolleres, før den sendes til kunden. Tilsynsmyndighedernes FAQ oplyser, at LEI-koder kontrolleres mod GLEIF-databasen og EUID mod referencedata fra BRIS. Den endelige modervirksomhed for hver IKT-leverandør skal også identificeres i registeret.

FAQ’ens spørgsmål 44 siger, at strenge kontroller af LEI-status, herunder om koden er aktiv eller udløbet, ikke ville blive håndhævet i de første indberetningsfaser, særligt i 2025. Den angiver ikke, hvor længe denne praksis ville vare. Det ændrer ikke forordningens krav om en aktiv kode.

For tredjelandsleverandører beskriver spørgsmål 40 en særskilt håndtering ved indberetning: Hvis en LEI ikke er tilgængelig, kan den finansielle enhed indberette en anden identifikator. Filen afvises ikke, men posten markeres som et datakvalitetsproblem. Denne vejledning erstatter ikke bilagets regel om, at leverandører, der ikke er etableret i EU, identificeres med LEI. Mangler din virksomhed en kode, kan den ansøge om en LEI-kode; er koden udløbet, kan den forny sin LEI-kode.

Frister for registeret

FAQ’ens spørgsmål 11-13 angiver, at referencedatoen fra 2026 og frem er 31. december i det foregående år. Kompetente myndigheder skal indberette registrene til de europæiske tilsynsmyndigheder senest 31. marts hvert år og fastsætter fristerne for de finansielle enheder. For den danske indberetning i 2026 oplyste Finanstilsynet selv 31. marts 2026 som frist for de omfattede finansielle virksomheder.

Registerrunde	Referencedato	Myndighedernes frist over for tilsynsmyndighederne	Frist for finansielle enheder
2026	31. december 2025	31. marts 2026	I Danmark: 31. marts 2026 ifølge Finanstilsynet
Næste runde	31. december 2026	31. marts 2027	Fastsættes af den kompetente myndighed

EBA – Preparations for reporting of DORA registers of information samler gennemførelsesforordningen, datamodellen, valideringsreglerne og FAQ’en. En IKT-leverandør bør få sin egen frist bekræftet hos den finansielle kunde, frem for at bruge myndighedernes frist som leveringsdato.

Tjekliste for IKT-leverandører

1. Afklar, hvilken juridisk person der har aftalen med den finansielle enhed, og om den er etableret i EU. Det afgør, om EUID kan bruges, eller om LEI er den eneste mulighed.
2. Oplys den identifikator, kunden efterspørger. Findes både LEI og EUID, skal begge kunne oplyses; kontrollér, at LEI-koden er aktiv.
3. Undersøg, hvilke underleverandører i registeret der reelt understøtter en tjeneste, som støtter en kritisk eller vigtig funktion. Indhent deres relevante identifikatorer.
4. Afklar oplysningerne om den endelige modervirksomhed, og spørg kunden, hvornår de samlede leverandøroplysninger skal afleveres.

Reglerne for leverandøridentifikation må ikke forveksles med andre anvendelser af LEI; artiklen om LEI ved kundekontrol efter AMLR i Danmark behandler en anden situation. Andre emner findes blandt LEIFasts artikler om regulering. Begynd med at bekræfte aftaleparten, dens relevante identifikator og kundens frist; afhænger vurderingen af aftalens nærmere forhold, bør du spørge din tilsynsmyndighed eller rådgiver.